En 2018, rexistráronse 2263 casos públicos de fuga de información confidencial en todo o mundo. Os datos persoais e a información de pago víronse comprometidos no 86 % dos incidentes, é dicir, uns 7,3 millóns de rexistros de datos de usuarios. O intercambio criptográfico xaponés Coincheck perdeu 534 millóns de dólares como resultado do compromiso das carteiras en liña dos seus clientes. Este foi o maior dano rexistrado.
Aínda se descoñece cales serán as estatísticas para 2019. Pero xa hai bastantes "fugas" sensacionais, e isto é triste. Decidimos revisar as filtracións máis comentadas desde principios de ano. "Haberá máis", como din.
18 de xaneiro: bases de recollida
O 18 de xaneiro comezaron a aparecer informes dos medios sobre unha base de datos atopada no dominio público en caixas de correo con contrasinais (incluídos usuarios de Rusia). A base de datos era unha colección de bases de datos filtradas duns dous mil sitios diferentes acumuladas ao longo de varios anos. Polo que recibiu o nome de Colección #1. En canto ao tamaño, resultou ser a segunda maior base de datos de enderezos pirateados da historia (o primeiro foi o arquivo de 1 millóns de usuarios de Yahoo!, que apareceu en 2013).
Pronto quedou claro que a colección #1 era só parte da matriz de datos que acabou en mans dos hackers. Os especialistas en seguridade da información tamén atoparon outras "Coleccións" numeradas do 2 ao 5, e o seu volume total foi de 845 GB. Case toda a información das bases de datos está actualizada, aínda que algúns inicios de sesión e contrasinais están desactualizados.
O experto en ciberseguridade Brian Krebs púxose en contacto co hacker que estaba a vender os arquivos e descubriu que a Colección #1 xa tiña uns dous ou tres anos. Segundo o hacker, tamén ten á venda bases de datos máis recentes cun volume de máis de catro terabytes.
11 de febreiro: filtración de datos de usuarios de 16 sitios principais
Edición do 11 de febreiro de The Register que a plataforma de negociación Dream Market vende os datos de 620 millóns de usuarios dos principais servizos de Internet:
- Dubsmash (162 millóns)
- MyFitnessPal (151 millóns)
- MyHeritage (92 millóns)
- ShareThis (41 millóns)
- HauteLook (28 millóns)
- Animoto (25 millóns)
- EyeEm (22 millóns)
- 8fit (20 millóns)
- Páxinas brancas (18 millóns)
- Fotolog (16 millóns)
- 500 píxeles (15 millóns)
- Xogos de armaduras (11 millóns)
- BookMate (8 millóns)
- CoffeeMeetsBagel (6 millóns)
- Artístico (1 millón)
- DataCamp (700)
Os atacantes pediron uns 20 mil dólares para toda a base de datos; tamén podían mercar o arquivo de datos de cada sitio por separado.
Todos os sitios foron pirateados en diferentes momentos. Por exemplo, o portal fotográfico 500px informou de que a filtración ocorreu o 5 de xullo de 2018, pero só se coñeceu despois da aparición dun arquivo cos datos.
Bases de datos enderezos de correo electrónico, nomes de usuario e contrasinais. Non obstante, hai un feito alegre: os contrasinais están principalmente cifrados dunha forma ou doutra. É dicir, para usalos, primeiro tes que descifrar os datos. Aínda que, se o contrasinal é sinxelo, entón é moi posible adiviñalo.
25 de febreiro: base de datos MongoDB exposta
25 de febreiro, especialista en seguridade da información Bob Dyachenko en liña, unha base de datos MongoDB de 150 GB non segura que contén máis de 800 millóns de rexistros de datos persoais. O arquivo contiña enderezos de correo electrónico, apelidos, información sobre sexo e data de nacemento, números de teléfono, códigos postais e enderezos e enderezos IP.
A base de datos problemática pertencía a Verifications IO LLC, que se dedicaba ao marketing por correo electrónico. Un dos seus servizos foi comprobar os correos electrónicos corporativos. Tan pronto como apareceu nos medios información sobre a problemática base de datos, o sitio web da empresa e a propia base de datos quedaron inaccesibles. Máis tarde, os representantes de Verifications IO LLC afirmaron que a base de datos non contiña datos dos clientes da empresa e que se reabastecía de fontes abertas.
10 de marzo: os datos dos usuarios de Facebook filtáronse a través das aplicacións FQuiz e Supertest
Edición 10 de marzo de The Verge que Facebook presentou unha demanda contra dous desenvolvedores ucraínos, Gleb Sluchevsky e Andrei Gorbachev. Foron acusados de roubo de datos persoais dos usuarios.
Os desenvolvedores crearon aplicacións para realizar probas. Estes programas instalaron extensións de navegador que recollían datos do usuario. Durante 2017-2018, catro aplicacións, entre elas FQuiz e Supertest, puideron roubar os datos de aproximadamente 63 mil usuarios. A maioría dos usuarios de Rusia e Ucraína víronse afectados.
21 de marzo: centos de millóns de contrasinais de Facebook sen cifrar
O 21 de marzo, informou o xornalista Brian Krebs que Facebook levaba moito tempo almacenando millóns de contrasinais sen cifrar. Os preto de 20 empregados da compañía podían ver os contrasinais de entre 200 e 600 millóns de usuarios de Facebook porque estaban almacenados en formato de texto plano. Algúns contrasinais de Instagram tamén se incluíron nesta base de datos sen protección. En breve a propia rede social sairá oficialmente información.
Pedro Canahuati, vicepresidente de enxeñería, seguridade e privacidade de Facebook, dixo que se solucionou o problema co almacenamento de contrasinais sen cifrar. E, en xeral, os sistemas de inicio de sesión de Facebook están deseñados para que os contrasinais sexan ilexíbeis. A empresa non atopou probas de que os contrasinais sen cifrar fosen accesibles de forma incorrecta.
21 de marzo: fuga de datos de clientes de Toyota
A finais de marzo, o fabricante xaponés Toyota que os hackers conseguiron roubar datos persoais de ata 3,1 millóns de clientes da empresa. Os sistemas das divisións comerciais de Toyota e cinco filiais foron pirateados o 21 de marzo.
A empresa non revelou que datos persoais dos clientes foron roubados. Non obstante, afirmou que os atacantes non accederon á información sobre as tarxetas bancarias.
21 de marzo: publicación de datos de pacientes na rexión de Lipetsk no sitio web de EIS
O 21 de marzo, activistas do movemento público "Control do Paciente" que na información publicada polo Departamento de Saúde da Rexión de Lipetsk no sitio web de EIS, proporcionáronse datos persoais dos pacientes.
No sitio web de contratación pública publicáronse varias poxas para a prestación de servizos médicos de emerxencia: os pacientes tiveron que ser trasladados a outras institucións fóra da rexión. As descricións contiñan información sobre o apelido do paciente, o enderezo da casa, o diagnóstico, o código ICD, o perfil, etc. Incriblemente, os datos dos pacientes publicáronse ao aberto nada menos que oito veces só no último ano (!).
O xefe do Departamento de Saúde da Rexión de Lipetsk, Yuri Shurshukov, dixo que se iniciou unha investigación interna e que se pediría desculpas aos pacientes cuxos datos foron publicados. A fiscalía da rexión de Lipetsk tamén comezou a comprobar o incidente.
04 de abril: fuga de datos de 540 millóns de usuarios de Facebook
Empresa de seguridade da información UpGuard sobre os datos de máis de 540 millóns de usuarios de Facebook que están dispoñibles públicamente.
Atopáronse publicacións dos membros das redes sociais con comentarios, gústame e nomes de conta na plataforma dixital mexicana Cultura Colectiva. E na xa desaparecida aplicación At the Pool, estaban dispoñibles nomes, contrasinais, enderezos de correo electrónico e outros datos.
10 de abril: os datos de pacientes de ambulancia da rexión de Moscova filtáronse en liña
Presuntamente, nos postos de asistencia médica de emerxencia (EMS) da rexión de Moscova. As forzas da orde iniciaron unha comprobación previa á investigación dos informes do suceso.
Un ficheiro de 17,8 GB que contén información sobre chamadas de ambulancia na rexión de Moscova foi descuberto nun dos servizos de hospedaxe de ficheiros. O documento contiña o nome da persoa que chamou á ambulancia, o número de teléfono de contacto, o enderezo onde se chamou ao equipo, a data e a hora da chamada, incluso o estado do paciente. Os datos dos veciños de Mytishchi, Dmitrov, Dolgoprudny, Korolev e Balashikha foron comprometidos. Suponse que a base foi establecida por activistas dun grupo de hackers ucraínos.
12 de abril: Lista negra do Banco Central
Datos de clientes bancarios da lista negra de refugallos do Banco Central baixo a lei contra o branqueo de capitais 12 de abril. Falabamos de información de aproximadamente 120 mil clientes aos que se lles denegou o servizo de acordo coa lei de loita contra o branqueo de capitais e o financiamento do terrorismo (115-FZ).
A maioría da base de datos está formada por persoas físicas e empresarios individuais, o resto son persoas xurídicas. Para os individuos, a base de datos contén información sobre o seu nome completo, data de nacemento, serie e número de pasaporte. Sobre os empresarios individuais - nome completo e INN, sobre empresas - nome, INN, OGRN. Un dos bancos admitiu extraoficialmente ante os xornalistas que a lista incluía clientes auténticos rexeitados. A base de datos abrangue "refuseniks" desde o 26 de xuño de 2017 ata o 6 de decembro de 2017.
15 de abril: publícanse os datos persoais de miles de policías estadounidenses e empregados do FBI
Un grupo cibercriminal conseguiu piratear varios sitios web asociados á Oficina Federal de Investigacións dos Estados Unidos. E publicou decenas de arquivos en Internet con información persoal de miles de policías e axentes federais.
Usando exploits dispoñibles publicamente, os atacantes conseguiron acceder aos recursos da rede dunha asociación asociada á Academia do FBI en Quantico (Virxinia). Sobre iso TechCrunch.
O arquivo roubado contiña os nomes dos funcionarios federales e policiais estadounidenses, os seus enderezos, números de teléfono, información sobre o seu correo electrónico e posicións. Hai preto de 4000 entradas diferentes en total.
25 de abril: fuga de datos de usuarios de Docker Hub
Os ciberdelincuentes accederon á base de datos da biblioteca de imaxes de contedores máis grande do mundo, Docker Hub, o que provocou que os datos de aproximadamente 190 mil usuarios se vexan comprometidos. A base de datos contiña nomes de usuario, hash de contrasinais e tokens para os repositorios GitHub e Bitbucket utilizados para compilacións automatizadas de Docker.
Administración de Docker Hub usuarios sobre o incidente a última hora do venres 26 de abril. Segundo a información oficial, o acceso non autorizado á base de datos coñeceuse o 25 de abril. A investigación do suceso aínda non rematou.
Tamén podes lembrar a historia con Doc+, que non foi hai moito tempo sobre Habré, desagradable cos pagos dos cidadáns á policía de tráfico e á FSSP e outras filtracións que describe .
Como conclusión
A inseguridade dos datos almacenados polas axencias gobernamentais, nas redes sociais e nos grandes sitios web, así como a escala do roubo, é aterradora. Tamén é triste que as filtracións sexan habituais. Moitas persoas cuxos datos persoais foron comprometidos nin sequera saben diso. E se o saben, non farán nada para protexerse.
Fonte: www.habr.com